El ataque FROST no requiere permisos ni interacción para identificar apps y webs usadas

Investigadores de seguridad de la Universidad de Tecnología de Graz en Austria han publicado un artículo describiendo un ataque de canal lateral que permite a un sitio web malicioso identificar qué otros sitios y aplicaciones tiene abiertos un visitante midiendo la latencia de acceso al SSD a través de JavaScript dentro de un entorno aislado (sandbox) estándar del navegador. La técnica, llamada FROST (Fingerprinting Remotely using OPFS-based SSD Timing), identificó correctamente los sitios web visitados con aproximadamente un 89% de precisión y las aplicaciones en ejecución con aproximadamente un 96% de precisión en un Mac de prueba; no requiere nada de la víctima más que visitar la página del atacante y funciona en diferentes navegadores.

FROST explota el Origin Private File System (OPFS), una API del navegador que permite a los sitios web crear y almacenar archivos en el disco local de un usuario sin solicitar permiso. Ataques anteriores de canal lateral de SSD que hemos visto requerían código nativo ejecutándose a través de interfaces de kernel privilegiadas, pero FROST elimina ese requisito.

El equipo reveló sus hallazgos a Google, Apple y Mozilla: Google dijo que no considera el "fingerprinting" (huella digital) como una vulnerabilidad de seguridad, Apple calificó el ataque como "fuera de alcance actualmente" y Mozilla reconoció los hallazgos sin implementar correcciones.

El ataque crea un archivo OPFS grande en el SSD de la víctima; tanto Chrome como Safari permiten que un sitio web reclame hasta el 60% del espacio total del disco a través de OPFS, lo que en una unidad de 256 GB es más de 150 GB. El archivo debe exceder la RAM disponible del sistema para que cada lectura aleatoria de 4 KB impacte en el SSD en lugar de en la caché de páginas del SO. Cuando otra actividad genera su propia E/S de disco, se crean picos de latencia medibles en las lecturas del atacante, y esos patrones de tiempo se introducen en una red neuronal convolucional entrenada para reconocer sitios web y aplicaciones específicas mediante sus firmas de E/S.

Debido a que la contención ocurre a nivel de almacenamiento, el ataque funciona entre navegadores; ejecutar la página del atacante en Chrome mientras la víctima navegaba en Safari mostró solo una diferencia de rendimiento del 3,38% frente a un ataque en el mismo navegador.

El ataque completo de huella digital solo se probó en un Mac Mini M2 con 8 GB de RAM y un SSD de 256 GB. En Linux, los investigadores confirmaron que podían medir la latencia del SSD desde el navegador, pero no ejecutaron la clasificación completa de huellas digitales, y Windows no fue probado en absoluto. El archivo OPFS también debe residir en el mismo SSD físico que la actividad monitoreada, lo cual no está garantizado en estaciones de trabajo con múltiples discos.

Con diferencia, la barrera más grande para este ataque es el gran tamaño del archivo; la mayoría de las personas notarán que decenas o cientos de gigabytes desaparecen repentinamente, pero los investigadores proponen mitigaciones, como limitar el tamaño de los archivos OPFS para que quepan dentro de la memoria del sistema o requerir permiso explícito para la creación de archivos OPFS. Dado que Google no clasifica el fingerprinting como un problema de seguridad, es poco probable que haya correcciones a nivel de navegador a corto plazo.


Fuente:
TomsHardware